(57)【特許請求の範囲】
【請求項１】
ネットワーク上を流れる各種アプリケーションのフロー毎に、フローが経路上で受けた影響を検知するネットワーク状態変化検出システムであって、
複数のトラフィック情報取得装置と、トラフィック情報保存装置と、ネットワーク状態変化検出装置と、を有し、
前記トラフィック情報取得装置は、
前記ネットワーク上に設置され、該ネットワーク上を流れるパケット、あるいはフレームと該パケットの通過時刻または受信時刻に関するトラフィック情報を取得するトラフィック情報取得手段を有し、
前記トラフィック情報保存装置は、
前記トラフィック情報取得装置から前記トラフィック情報を取得し、同一パケットに対応する複数の通過時刻または受信時刻を、取得したパケット情報またはフレーム情報と時系列順に対応付ける同一パケット検索手段と、
前記同一パケットに対応する複数の通過時刻または受信時刻から、時系列順に隣接する通過時刻または受信時刻の時間差分を求め、更に、時系列順に隣接しない通過時刻または受信時刻の時間差分を求め、前記トラフィック情報と対応付けて時系列順に記憶手段に格納する差分情報取得手段と、
を有し、
前記ネットワーク状態変化検出装置は、
前記トラフィック情報保存装置の前記記憶手段から、パケットのフロー情報に基づいて、指定されたトラフィック情報を抜き出して、所定の単位時間毎に、トラフィックのパケット数、パケット間隔、及び時間差分の統計値のいずれかを算出する統計値算出手段と、
前記統計値算出手段で算出された前記統計値が所定時間に所定の閾値を超えた場合に、アラートを発生させるアラート発生手段と、
を有すること特徴とするネットワーク状態変化検出システム。
【請求項２】
前記統計値算出手段は、
前記統計値に加え、平均値、中間値、第一四分点、第三四分点、分散、偏差、標準偏差のいずれかを算出する手段を含む
請求項１記載のネットワーク状態変化検出システム。
【請求項３】
前記統計値を可視化する統計情報可視化手段を更に有する
請求項１記載のネットワーク状態変化検出システム。
【請求項４】
ネットワーク上を流れる各種アプリケーションのフロー毎に、フローが経路上で受けた影響を検知するための情報を保持するトラフィック情報保存装置であって、
前記ネットワーク上のトラフィック情報取得装置からトラフィック情報を取得し、同一パケットに対応する複数の通過時刻または受信時刻を、取得したパケット情報またはフレーム情報と時系列順に対応付ける同一パケット検索手段と、
前記同一パケットに対応する複数の通過時刻または受信時刻から、時系列順に隣接する通過時刻または受信時刻の時間差分を求め、更に、時系列順に隣接しない通過時刻または受信時刻の時間差分を求め、前記トラフィック情報と対応付けて時系列順に記憶手段に格納する差分情報取得手段と、
を有することを特徴とするトラフィック情報保存装置。
【請求項５】
ネットワーク上を流れる各種アプリケーションのフロー毎に、フローが経路上で受けた影響を検知するネットワーク状態変化検出方法であって、
複数のトラフィック情報取得装置と、トラフィック情報保存装置と、ネットワーク状態変化検出装置と、を有するシステムにおいて、
前記トラフィック情報取得装置が、
前記ネットワーク上に設置され、該ネットワーク上を流れるパケット、あるいはフレームと該パケットの通過時刻または受信時刻に関するトラフィック情報を取得し、
前記トラフィック情報保存装置が、
前記トラフィック情報取得装置から前記トラフィック情報を取得し、同一パケットに対応する複数の通過時刻または受信時刻を、取得したパケット情報またはフレーム情報と時系列順に対応付け、
前記同一パケットに対応する複数の通過時刻または受信時刻から、時系列順に隣接する通過時刻または受信時刻の時間差分を求め、更に、時系列順に隣接しない通過時刻または受信時刻の時間差分を求め、前記トラフィック情報と対応付けて時系列順に記憶手段に格納し、
前記ネットワーク状態変化検出装置が、
前記トラフィック情報保存装置の前記記憶手段から、パケットのフロー情報に基づいて、指定されたトラフィックに関連する情報を抜き出して、所定の単位時間毎に、該トラフィックのパケット数、パケット間隔、及び時間差分の統計値のいずれかを算出し、
算出された前記統計値が所定時間に所定の閾値を超えた場合にアラートを発生させる
こと特徴とするネットワーク状態変化検出方法。
【請求項６】
コンピュータを、
請求項４記載のトラフィック情報保存装置の各手段として機能させるためのトラフィック情報保存プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワーク状態変化検出システム及びトラフィック情報保存装置及びネットワーク状態変化検出装置及び方法及びプログラムに係り、特に、ネットワーク上のトラフィック情報を取得し、その分析結果からネットワークの状態変化を検出し、ユーザ及び他装置に通知するためのネットワーク状態変化検出システム及びトラフィック情報保存装置及びネットワーク状態変化検出装置及び方法及びプログラムに関する。
【背景技術】
【０００２】
ネットワークを利用した音声・映像伝送サービス等の増加に伴い、安定したトラフィックが流通し続けるよう、継続的なネットワーク状態監視を行い、異常発生時に速やかな復旧を行う、または、代替ルートへの切り替えを行うなどの措置が取られている。
【０００３】
従来のネットワーク状態監視の手法として、物理リンク、論理リンクにおける接続断や異常を検知してアラートを発する手法や、状態監視用に経路をトレースするフレームを継続的に送信し、異常の発生と発生箇所を検出する手法などがある（例えば、特許文献１参照）。
【０００４】
しかしながら、サービス側からの視点においては、ネットワークの接続状態だけではなく、サービス品質に影響を与える可能性のあるジッタや輻輳などのトラフィック情報を計測し、これに基づく状態監視が必要となる。NetFlow（非特許文献１）、sFlow（非特許文献２）に基づくトラフィック計測手法が存在するが、これは経路上で一箇所で流通するIPパケットを時間軸でサンプリングし、パケット数等のトラフィック量ないしは使用帯域に着目した統計的情報を取り扱っているにすぎず、特定のアプリケーションに対する精緻な計測ができない。
【０００５】
これに対し、経路上の複数の箇所においてパケットのキャプチャを行うことで、キャプチャ箇所間において通過パケットが受けた影響を測定し、トラフィック状態の精緻な計測を行うことが考えられる。複数個所でキャプチャされたパケット群から同一のパケットを高速に検索し、リアルタイム性を有するトラフィック計測を可能にする手法がある。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】特開2003−273927号公報
【非特許文献】
【０００７】
【非特許文献１】RFC3954
【非特許文献２】RFC3176
【発明の概要】
【発明が解決しようとする課題】
【０００８】
しかしながら、複数個所でキャプチャされたパケット群から同一のパケットを高速に検索する手法は、複数個所でキャプチャされたパケットから、単位時間毎にトラフィック情報の精緻な計測を実施していない。
【０００９】
本発明は、上記の点に鑑みなされたもので、経路上の複数の箇所においてキャプチャされたパケットの情報を、単位時間毎にリアルタイムな解析が可能となるように保存し、アプリケーションごとの精緻なトラフィック解析が可能となるような手段を与えることで、ネットワークの状態変化を検知し、ユーザに提示することが可能なネットワーク状態変化検出システム及びトラフィック情報保存装置及びネットワーク状態変化検出装置及び方法及びプログラムを提供することを目的とする。
【課題を解決するための手段】
【００１０】
上記の課題を解決するため、本発明は、ネットワーク上を流れる各種アプリケーションのフロー毎に、フローが経路上で受けた影響を検知するネットワーク状態変化検出システムであって、
複数のトラフィック情報取得装置と、トラフィック情報保存装置と、ネットワーク状態変化検出装置と、を有し、
前記トラフィック情報取得装置は、
前記ネットワーク上に設置され、該ネットワーク上を流れるパケット、あるいはフレームと該パケットの通過時刻または受信時刻に関するトラフィック情報を取得するトラフィック情報取得手段を有し、
前記トラフィック情報保存装置は、
前記トラフィック情報取得装置から前記トラフィック情報を取得し、同一パケットに対応する複数の通過時刻または受信時刻を、取得したパケット情報またはフレーム情報と時系列順に対応付ける同一パケット検索手段と、
前記同一パケットに対応する複数の通過時刻または受信時刻から、時系列順に隣接する通過時刻または受信時刻の時間差分を求め、更に、時系列順に隣接しない通過時刻または受信時刻の時間差分を求め、前記トラフィック情報と対応付けて時系列順に記憶手段に格納する差分情報取得手段と、
を有し、
前記ネットワーク状態変化検出装置は、
前記トラフィック情報保存装置の前記記憶手段から、パケットのフロー情報に基づいて、指定されたトラフィック情報を抜き出して、所定の単位時間毎に、トラフィックのパケット数、パケット間隔、及び時間差分の統計値のいずれかを算出する統計値算出手段と、
前記統計値算出手段で算出された前記統計値が所定時間に所定の閾値を超えた場合に、アラートを発生させるアラート発生手段と、を有すること特徴とする。
【発明の効果】
【００１１】
本発明によれば、ネットワーク上を流れる各種アプリケーションのフロー毎に、トラフィックの統計情報を複数遅延でのパケットキャプチャ情報を利用して得ることにより、経路上で実際にフローに及ぼされた影響をリアルタイムに測定できる。また、フローの帯域に応じて統計情報を算出する単位時間を変化させることで、フローの特性に応じたトラフィックの解析が可能となり、ネットワーク状態変化の判断においてより確度の高い情報の取得が可能となる。ネットワークを利用する各種アプリケーションは検知されたネットワーク状態変化の情報に基づいて伝送パラメータを調整できるなどの効果を奏する。
【図面の簡単な説明】
【００１２】
【図１】本発明の一実施の形態におけるシステム構成図である。
【図２】本発明の一実施の形態におけるトラフィック情報保存装置の説明図である。
【図３】本発明の一実施の形態における「隣接しない情報の時間差分」の説明図である。
【図４】本発明の一実施の形態におけるネットワーク状態変化検出装置の構成図である。
【図５】本発明の一実施の形態における計測結果の一例である。
【発明を実施するための形態】
【００１３】
以下、図面と共に本発明の実施の形態を説明する。
【００１４】
図１は、本発明の一実施の形態におけるシステム構成を示す。
【００１５】
同図に示すシステムは、ネットワーク上を流れるパケットまたはフレームと、当該パケットまたはフレームの通過時刻または受信時刻を取得する複数のトラフィック情報取得装置１００、トラフィック情報取得装置１００で取得した情報及び時刻の差分情報を管理するトラフィック情報保存装置２００、トラフィック情報保存装置２００からトラフィック情報を取得してネットワーク状態の変化を検知するネットワーク状態変化検出装置３００と、から構成される。
【００１６】
まず、トラフィック情報保存装置２００のトラフィック情報保存方法について説明する。
【００１７】
トラフィック情報保存装置２００は、同一パケット検索部２１０、他パケット差分算出部２２０、トラフィック情報保存部２３０から構成され、トラフィック情報取得装置１００で取得した情報が逐次転送されるものとする。
【００１８】
図２は、本発明の一実施の形態におけるトラフィック情報保存装置の説明図である。
【００１９】
トラフィック情報保存装置２００の同一パケット検索部２１０は、ネットワーク中に設置された複数のトラフィック情報取得装置１００から、各トラフィック情報取得装置１００で得られるネットワーク中を流れるパケットあるいはフレームの情報を、パケットあるいはフレームの一部あるいは全てに対するハッシュ値とトラフィック情報取得装置１００がパケットあるいはフレームを受信あるいは通過した時刻情報を用いて同一パケットの情報を探索する。このとき、トラフィック情報保存装置２００は、複数のトラフィック情報取得装置１００の情報を一元管理しても、または、各取得装置毎に管理してもよい。本実施の形態では、トラフィック情報取得装置１００毎のデータセットから同一パケットの情報を探索するものとする。
【００２０】
図２の例では、トラフィック情報取得装置１００１からパケットＡのパケット情報（またはフレームの情報）と時刻TA1｝、パケットＢの｛パケット情報（またはフレームの情報）と時刻TB1｝、パケットＣの｛パケット情報（またはフレームの情報）と時刻TC1｝が得られ、トラフィック情報取得装置１００２からパケットＡの｛パケット情報（またはフレーム情報)と時刻TA2）、パケットＢの｛パケット情報（またはフレーム情報)と時刻TB2）、パケットＣの｛パケット情報（またはフレーム情報)と時刻TC2）が得られると、同一パケット検索部２１０は、トラフィック情報取得装置１００１のパケットＡの｛パケット情報、時刻TA1｝と、トラフィック情報取得装置１００２のパケットＡの｛パケット情報、時刻TA2｝を同一パケットとする。
【００２１】
同一パケット検索部２１０は、同一情報を持つパケットあるいはフレーム情報を、時系列順に対応付ける。例えば、パケットＡに関してトラフィック情報取得装置１００から４つの情報が得られた場合は｛パケットＡ：Ａ１，Ａ２，Ａ３，Ａ４｝のように時系列順に対応付ける。
【００２２】
次に、他パケット差分算出部２２０は、時系列順に並んだ情報において、隣接または隣接しない情報との時間差分を求め、同一情報をもつパケットあるいはフレーム情報に対応付けてトラフィック情報保存部２３０に格納する。
【００２３】
上記の「隣接する情報の時間差分」とは、例えば、図２の場合において、パケットＡについては、当該パケットのＡ２の時刻からパケットＡ１の時刻を差し引く（TA2−TA1）ことで求められ、これが「差分情報」としてトラフィック情報保存部２３０に保存される。また、「隣接しない情報の時間差分」とは、例えば、図３のように、トラフィック情報取得装置１００が経路上に３つあり、それぞれで計測されたパケットＡの通過時刻をTA1，TA2，TA3とした場合において、End to Endの時間差分としてTA3−TA1で求められ、これが「差分情報」として保存される。また、この場合、「差分情報」には、最大でTA2−TA1，TA3−TA2，TA3−TA1の３通りの情報が保存される。なお、組み合わせはユーザの指定による。
【００２４】
さらに、複数のパケットあるいはフレーム情報を、Ａ１の時間（Ａ１がなければＡ２，Ａ２がなければＡ３というように）に基づいて時系列順に管理する。ここで、「時系列順に管理」とは、時刻に基づいて情報をソートするということを意味している。例えば、図３のように、枝分かれした経路があり、各パケットが違う経路で到着する場合、１番目の時刻がないということがある。この場合、パケットＡとパケットＣに関してはTA1、TC1の時刻でソートし、パケットＢに関しては、TB1がないので、TA2，TB2，TC2の関係でソートを行う。
【００２５】
次に、ネットワーク状態変化検出装置３００について説明する。
【００２６】
ネットワーク状態変化検出装置３００は、トラフィック情報保存部２３０からトラフィック情報を取り出してネットワークの状態変化を検出する。
【００２７】
ネットワーク状態変化検出装置３００は、取り出すフローを指定するフロー指定部３１０、取り出されたパケットから帯域を算出するトラフィック帯域算出部３２０、帯域とフロー情報をもとに単位時間を算出する単位時間算出部３３０、単位時間毎に統計情報を算出する統計情報算出部３４０、統計情報を保持する統計情報管理部３５０、統計情報を表示する統計情報可視部３６０、アラートを発生させるアラート発生部３７０から構成される。
【００２８】
フロー指定部３１０は、任意のトラフィック情報を指定する。
【００２９】
トラフィック帯域算出部３２０は、トラフィック情報保存装置２００からフロー指定部３１０で指定されたトラフィック情報のフロー情報が抜き出されると、帯域を算出する。ここで、『フロー情報』とは、特定のフローを定義づける情報であり、フィルタリング情報と言い換えることもできる。例えば「ソースIPアドレスが10.11.12.13かつ、宛先IPアドレスが14.15.16.17かつ、宛先ポート番号が110」というフロー情報に基づいて、このフローに対応するトラフィック情報を抜き出す、といった手順を行う。
【００３０】
単位時間算出部３３０は、算出された帯域とフロー情報に基づいて単位時間を算出する。単位時間の算出は、帯域（ビットレート）をパラメータとして算出する。算出式はフローの種類に依存するため、予め設定しておく、または、ユーザによって設定するようにしてもよい。
【００３１】
統計情報算出部３４０は、トラフィックの過多等に応じて決定される単位時間毎に、トラフィックのパケット数、トラフィックのパケット間隔、時間差分の平均値、中間値、第一四分点、第三四分点、分散、偏差、標準偏差、などの統計情報を算出し、統計情報管理部３５０に格納する。
【００３２】
統計情報管理部３５０は、ハードディスク等の記憶手段を有し、各統計情報を時系列順に格納する。
【００３３】
アラート発生部３７０は、統計情報管理部３５０を参照し、時系列順に並んだ統計情報に大幅な変化が発生したときに（例えば、所定時間、所定の閾値を超えた場合や、所定時間に所定の閾値の所定の回数を超えた場合など）、アラートを発生する。
【００３４】
統計情報可視部３６０は、統計情報管理部３５０の時系列順に管理された統計情報を可視化して、可視化された情報に変化があることをディスプレイに表示することにより目視確認するようにしてもよい。
【００３５】
ネットワーク状態変化検出装置３００は、上記の処理を、手動、自動、半自動を問わずに実行する。なお、ここで、「手動」とは、アラート発生部３７０において、自動判断の判定式を記述困難な場合に、ユーザが判断することを意味している。
【００３６】
図５は、10Gbit/sの帯域のネットワークに1.5Gbit/sのフローを流し、経路上の２地点間で計測したもので、＋が各パケットの2地点間の時間差分（伝送遅延）を10ミリ秒ごとに合計して平均をとったもの、×が偏差を表している。例えば、図２でパケットＡからパケットＦまで６個のパケットの情報があり、時刻TA1〜TA1+10ミリ秒の間にTB1、TC1が入っている場合、パケットＡ〜Ｃの差分情報を加算して平均をとり、次にTA1+10ミリ秒〜TA1+20ミリ秒の間に、TD1、TE1、TF1が入っている場合、パケットＤ〜Ｆの差分情報を加算して平均をとり、…と求めていたものである。途中、30秒から40秒目までで変化が見られるが、これは、500Mbit/sの別トラフィックを同経路に流したためである。本発明によれば、このようにネットワーク状態変化を検知することができる。
【００３７】
中間値や第一四分点などの統計情報は、これらの状態変化の様子をより高い精度で検出するための評価軸であるが、どこまでの情報を用いるかは、計算量とのトレードオフになる。
【００３８】
なお、上記の実施の形態では、トラフィック情報保存装置２００とネットワーク状態変化検出装置３００を個別の装置として説明したが、この例に限定されることなく、これらの装置をネットワーク状態変化検出装置として統合した形態としてもよい。
【００３９】
なお、上記のトラフィック情報保存装置及びネットワーク状態変化検出装置の各構成要素を、トラフィック情報保存装置、ネットワーク状態変化検出装置として利用されるコンピュータにインストールして実行させる、または、ネットワークを介して流通させることが可能である。
【００４０】
本発明は、上記の実施の形態に限定されることなく、特許請求の範囲内において、種々変更・応用が可能である。
【符号の説明】
【００４１】
１００  トラフィック情報取得装置
２００  トラフィック情報保存装置
２１０  同一パケット検索部
２２０  他パケット差分算出部
２３０  トラフィック情報保存部
３００  ネットワーク状態変化検出装置
３１０  フロー指定部
３２０  トラフィック帯域算出部
３３０  単位時間算出部
３４０  統計情報算出部
３５０  統計情報管理部
３６０  統計情報可視部
３７０  アラート発生部
【図１】
0005801241.tif 000002
【図２】
0005801241.tif 000003
【図３】
0005801241.tif 000004
【図４】
0005801241.tif 000005
【図５】
0005801241.tif 000006